azure - 将私有 Azure Docker Registry 的 Pull-Only 权限授予第三方的最安全方法

Question

我们在 Azure 帐户下创建了一个私有注册表，现在尝试将这些图像临时提供给许多第三方（1 个月或 1 年）。

在不暴露任何其他信息的情况下仅授予第三方 AcrPull 权利的安全方式是什么？我们正在尝试具有 AcrPull 权限的服务主体，但它们似乎内置了多个角色。我想确认持有这些帐户的人除了注册表中的图像外，无权访问我们的任何公司数据。

有没有更好的方法来实现这一点？

标签： azureazure-active-directoryazure-web-app-serviceazure-container-instances

Answer 1

在该注册表范围内仅授予具有服务主体的AcrPull权限是安全的，因为Microsoft.ContainerRegistry/registries/pull/read在内置 Azure角色 AcrPull中只有一个操作。如果您不为该服务主体分配任何其他多个角色，则不会内置多个角色。

你还可以创建对 Azure 容器注册表具有精细权限的自定义角色。然后将自定义角色分配给需要与注册表交互的用户、服务主体或其他身份。

有关详细信息，请阅读Azure 容器注册表角色和权限。